利用銀行系統漏洞獲得財物行為辨析

對于疑難復雜案件，要運用“三個善于”的方法論，從事實認定、法律適用、政策把握三個方面逐層遞進審查判斷。

行為實質

利用銀行系統漏洞獲得財物的行為，首先要分析涉案銀行交易系統的運行機理，從紛繁復雜的案件事實中準確把握實質關系。客戶透過計算機交易系統與銀行開展交易活動，可以解構為客戶——計算機系統——銀行三個主體，銀行透過計算機系統與客戶發生關系，連接三者的則是雙方通過協議確立的交易規則，計算機系統的行為本質上就是銀行的行為。正常情形下，銀行與客戶都遵循協議確立的規則行事，計算機系統所表現出的銀行意志等同于銀行真實意志。

由于計算機交易系統與系統控制者兩個主體的存在，會因各種原因產生計算機交易系統表現意志與控制者真實意志背離的情形。一是因客戶行為導致意志的背離。比如，司法實踐中行為人冒用他人互聯網支付賬戶的情形，支付平臺并不同意與冒用者進行交易，但因系統本身的局限性無法有效辨識實際交易主體，將冒用者誤認為本人交易，這也是評價行為人是否構成犯罪、構成何種犯罪的關鍵行為。至于因支付賬戶背后所連接的資金來源，并非區分犯罪類型的關鍵，實踐中根據支付賬戶連接的資金來源區分罪名實則是將簡單問題復雜化。從交易本質來看，無論資金來源于何處，登錄支付賬戶后的交易行為均是基于互聯網支付機構于與其他機構及客戶簽訂的系列規則所自動產生，交易行為發動的原因只有一個，即互聯網支付機構錯誤地將冒充他人登陸者視為支付賬戶持有者本人，從而基于規則發起了向不同資金端主體的交易指令。二是計算機系統自身產生漏洞，導致與控制者真實意志相背離。此種漏洞實際上超出了協議約定的范圍，對于客戶利用意志背離所造成的漏洞謀取利益如何評價，是本案的基礎問題。

法律適用

本案的爭議主要在詐騙罪、盜竊罪與侵占罪之間。

（一）不構成詐騙罪

詐騙系以欺騙手段使對方陷入錯誤認識而處分財物的行為，本案中的機器漏洞系自身因素產生，并非基于客戶行為產生，無法將內部之間的意志背離解釋為因欺詐行為陷入錯誤認識，因此不存在構成詐騙罪的基礎。但需要注意的是，機器是否能夠被騙不是推翻詐騙罪的理由。機器能否被騙本身是一個偽命題，從前述交易關系的分析中就可以看出，機器本身并無意志，而是基于規則體現銀行的意志，不能因行為透過機器而發生就認為機器產生自主意志，無論是機器表現的銀行意志還是銀行真實意志，本質上都是銀行意志的體現。

（二）不構成盜竊罪，拒不退還的可以構成侵占罪

對于利用漏洞違背銀行真實意志的行為，是否以盜竊罪處罰，或者以其他罪名處罰，需要結合各罪的立法目的對法律條文作進一步解釋，也就是從法律條文中領會法治精神。

本案涉及復雜的刑民交叉關系。需要指出的是，司法實踐中有一種似是而非的觀點，認為民事糾紛與刑事犯罪是排斥關系，只要通過民事救濟手段能夠解決，便不構成犯罪，造成了區分民事糾紛與刑事犯罪界限的諸多困擾。實際上，民事糾紛與刑事犯罪之間，只有在不具有民事違法性的情形下才是相互排斥的，在具有民事違法性的情形下兩者是包含關系。如果行為本身在民法上系合法行為，從法秩序統一性原理出發，就不具備判斷刑事違法性的基礎。如果行為本身具有民事違法性，則可以進一步判斷是否具有刑事違法性，此種情形下認定犯罪，本質上還是判斷行為是否符合刑法規定的構成要件并具有追訴必要性，構成犯罪本身并不排斥雙方民事上的權利義務關系。

本案是否構成盜竊罪或者其他犯罪，首先，從民法上考察客戶行為是否具有民事違法性，可以從兩個方面進行考察：一是對于系統漏洞行為是否有明確約定，如果雙方對系統漏洞中的交易行為作出有利于客戶的約定，則不能歸責于客戶。二是系統漏洞形成過程中是否雙方存在過錯問題。如果過錯責任主要在銀行，則也不能過度苛責于客戶。本案中，雙方協議明確約定利用系統漏洞的交易無效，且反復利用漏洞謀取明顯不屬于自身的財產性利益，對于后果具有明顯過錯。因此，客戶具有民法上的不法性，具備進一步判斷是否構成犯罪的基礎。

其次，在刑事違法性的考察上，需要對刑法有關規定進行體系化的思考。本案中獲取利益的行為違背銀行的真實意志，但該行為是基于系統自身原因產生的錯誤意志表達，與盜竊罪在行為手段上存在質的差異。《刑法》第270條規定了侵占罪，包括“將代為保管的他人財物非法占為己有，數額較大，拒不退還”和“將他人的遺忘物或者埋藏物非法占為己有，數額較大，拒不交出”兩種類型，均體現了對于取得財物不具有主動特征情形的寬容立場，與盜竊、詐騙等主動去的財物的行為有本質差異，但也并不完全排斥刑事追究，在拒不退還、交出的情形下仍構成侵占罪這一自訴犯罪。本案財產性利益的取得，本質上是系統漏洞自動產生，并非客戶基于自身行為主動獲取，屬于民法上的不當得利行為。《民法典》規定得利人沒有法律根據取得不當利益的，受損失的人可以請求得利人返還取得的利益。在對拾得遺失物的處理上，明確規定拾得人在遺失物送交有關部門前，有關部門在遺失物被領取前，應當妥善保管遺失物。對于因銀行系統漏洞產生的虛擬財物（財產性利益），無論從法律規定還是雙方協議約定，均不得擅自處置，而因妥善保管，拒不退還的，符合侵占罪的構成要件。本案中客戶沒有拒不退還的行為，不構成侵占罪。

在法理情的有機統一中實現公平正義，基礎是符合法理。符合法理的結論在絕大多數情況下自然符合情理，能夠體現公平正義。通過對本案的分析，可以看到刑法、民法對于不當得利、盜竊、詐騙、侵占案件中各方利益的妥善安排。當然，隨著人工智能時代的到來，因人工智能系統自身漏洞產生后果的責任分配問題日益凸顯。惡意利用漏洞非法牟利的行為，并非天然不具有歸責性，尤其是在人工智能日益普及，誠信意識、規則意識不得強化的社會背景下，惡意利用漏洞侵害他人合法權益并不是當然被認為是值得包容、同情甚至鼓勵的行為，人民群眾的正義觀也會隨著時代發展變化而發生變化。如何妥當處置惡意利用漏洞行為，實則有待在今后的立法、司法中進一步研究完善。